ResearchVault

核心用法

ResearchVault 是一款面向 AI 代理工作流设计的本地优先研究编排引擎，核心围绕「项目-数据-策略」三层架构展开运作。

项目初始化 (vault.py init) 建立带有明确研究目标（--objective）的持久化工作空间，生成唯一项目 ID；数据摄取 (vault.py scuttle) 支持 URL 定向抓取与结构化存储，所有原始数据写入本地 SQLite 数据库；自主策略 (vault.py strategy) 触发内置的分析代理，基于已累积数据进行趋势合成与验证任务编排。

技术栈层面要求 Python ≥3.13，提供标准 venv 与 uv 双路径安装，通过 RESEARCHVAULT_DB 环境变量可自定义数据库位置。可选集成 Brave Search API 以启用实时检索与外部信源交叉验证。

显著优点

1. 本地优先架构：数据主权完全归属用户，规避云端服务的隐私泄露与供应商锁定风险
2. 状态持久化：研究过程的中间产物、代理决策轨迹全量留痕，支持断点续研与审计回溯
3. 代理原生设计：从命令行接口到数据模型均为自主代理工作流优化，非简单文档库封装
4. 轻量化部署：单 SQLite 文件 + Python 环境即可运行，无复杂基础设施依赖

潜在局限

• Python 版本门槛：强制要求 3.13+，老旧环境需升级
• 可选功能依赖外接 API：实时搜索与深度验证需 Brave API Key，否则退化为纯离线模式
• 生态处于早期：作为新兴工具，周边集成与社区资源尚待积累
• 无内置 GUI：当前仅为命令行工具，非技术用户上手成本较高

适合人群

• 需要长期追踪复杂议题的研究人员与分析师
• 构建自主研究代理的 AI 开发者
• 对数据隐私敏感、拒绝 SaaS 方案的企业/机构
• 希望复现、审计 AI 研究过程的学术场景

常规风险

数据库文件未加密存储于本地文件系统，多用户共享设备需注意权限隔离；自动网络请求功能（scuttle/strategy 中的外部验证）存在 SSRF 攻击面，建议生产环境配合网络隔离策略使用。

核心用法

ResearchVault 是一款本地优先（Local-First）的智能研究编排引擎，专为需要长期追踪复杂课题的 Agent 工作流设计。用户通过 CLI 工具初始化研究项目、摄取网络数据并触发自主策略生成。典型流程为：vault.py init 创建带目标的研究项目 → vault.py scuttle 抓取并存储网页内容 → vault.py strategy 自动分析并生成洞察报告。数据默认存储于 ~/.researchvault/ 的 SQLite 数据库中，完全离线可控。

显著优点

• 隐私优先架构：无遥测、无自动云端同步，所有研究数据本地持久化，满足 GDPR 数据最小化原则。
• Agent 原生设计：支持 MCP（Model Context Protocol）服务器模式，可直接向 Claude 等 Agent 暴露 vault_list_projects、vault_add_finding 等工具接口，实现无缝人机协作。
• 安全网络行为：外部请求仅限于用户显式触发的 URL 抓取（scuttle）和可选的 Brave Search API，且通过 SafeSession 类强制实施 SSRF 防护、私有 IP 拦截与 10MB 响应限制。
• 数据脱敏机制：内置 scrub_data 函数自动清除 URL 凭证、文件路径与敏感令牌，降低意外泄露风险。
• 供应链可信：依赖 requests、beautifulsoup4、rich、mcp 等主流开源库，无已知 CVE 漏洞。

潜在缺点与局限性

• 功能边界明确：定位为"研究状态管理器"，非通用搜索引擎或知识图谱工具，不具备实时协作、多用户同步或 Web 可视化界面。
• 可选 API 依赖：启用 Brave Search 验证功能需外部 API 密钥，虽为可选但可能影响部分用户的"完全离线"体验。
• T3 来源可信度：维护者为个人开发者（lraivisto），无企业背书或公开 GitHub 仓库信息，长期维护与更新节奏存在不确定性。

适合人群

• 需要长期追踪技术趋势、学术文献或竞争情报的独立研究者、咨询顾问、投资分析师。
• 对数据隐私敏感、要求研究过程完全本地可控的企业安全团队或法务合规人员。
• 正在构建个人知识管理（PKM）系统、希望将 AI Agent 深度集成至本地工作流的进阶用户。

常规风险

• MCP 暴露面：启动 MCP 服务器模式时，若运行环境不受控，理论上存在本地敏感项目数据被其他进程读取的风险，建议仅在可信隔离环境部署。
• Scuttle 内容风险：虽 SafeSession 已拦截恶意目标 IP，但无法自动识别目标站点的内容可信度，用户需自行判断抓取源的安全性。
• 数据库单点故障：所有数据集中于单一 SQLite 文件，建议定期备份 ~/.researchvault/research_vault.db 以防意外损坏。